I Garanti del mondo discutono di privacy nell´era globale

Alla Conferenza internazionale di Città del Messico adottate tre risoluzioni Come proteggere i dati personali in un´era globale. E´ questo il tema cruciale a cui è stata dedicata la 33ma Conferenza internazionale delle Autorità per la protezione dei dati personali, svoltasi la scorsa settimana a Città del Messico, che ha visto riuniti rappresentanti provenienti da tutti i continenti e alla quale ha partecipato anche il Presidente dell´Autorità italiana, Francesco Pizzetti. Lo sviluppo esponenziale delle tecnologie, le nuove forme di comunicazione in rete, la proliferazione dei dati, l´uso innovativo delle informazioni,  hanno aperto orizzonti sociali ed economici prima impensabili. Ma hanno conseguentemente modificato il contesto nel quale le Autorità di protezione dei dati personali si trovano ad operare, e soprattutto determinato la necessità di un approccio globale ai problemi di protezione dati e di una definizione di regole in grado di garantire una tutela effettiva della privacy, al di là di culture e confini nazionali. E´ dunque con questa consapevolezza e con l´esigenza di  una missione comune che nella tre giorni di lavori le Autorità per la privacy di tutto il mondo si sono confrontate su rilevanti questioni di primo piano: la nuova economia basata sulle grandi banche dati (il cosiddetto"Big Data"); le nuove tecnologie usate per l´analisi dei comportamenti e la profilazione degli individui; la sicurezza dei dati e le nuove realtà come il cloud computing; il diritto all´oblio nel mondo digitale;le nuove applicazioni per la telefonia mobile; il ruolo e le responsabilità delle Autorità di protezione dati; la ridefinizione dello stesso concetto di dato personale di fronte agli scenari aperti dalla Rete. La Conferenza ha adottato tre risoluzioni sulla privacy: una sull´uso del nuovo protocollo Internet per l´assegnazione degli indirizzi (IPv6); una seconda sulla necessità di un coordinamento rafforzato a livello internazionale; una terza sulla protezione dei dati in caso di disastri ambientali. A far parte della Conferenza internazionale sono stati ammessi come nuovi membri la Bosnia Erzegovina e il Marocco.

Vietate le telefonate promozionali a fini di marketing verso numeri tratti da albi professionali senza il consenso preventivo dell´interessato

Limiti al telemarketing L´offerta commerciale deve essere strettamente funzionale all´attività del professionista I dati contenuti negli albi professionali possono essere utilizzati per telefonate commerciali solo se il promotore ha già acquisito il consenso dell´interessato o se presenta offerte strettamente attinenti l´attività svolta dal professionista contattato. Lo ha chiarito il Garante privacy che ha vietato ad una società di utilizzare per scopi promozionali i dati  personali di un avvocato che si era lamentato di essere stato disturbato in ufficio con offerte di servizi di telefonia destinati all´utenza business. Nella richiesta all´Autorità, il legale evidenziava come la presenza dei propri dati personali e, quindi, anche del proprio recapito telefonico nell´albo degli avvocati, anche in versione on line, costituisse un obbligo di legge e non implicasse alcun consenso a ricevere telefonate promozionali. Al fine di non essere più disturbato, l´utente si era anche iscritto nel Registro pubblico delle opposizioni. La società si è difesa affermando che i servizi di telefonia business proposti riguardavano l´attività professionale dell´utente e che si trattava pertanto di un utilizzo perfettamente lecito di dati estratti da un albo professionale on line consultabile da chiunque. Dai riscontri del Garante è invece emerso che l´offerta commerciale era generica e non "direttamente funzionale" alla professione forense, non giustificando così l´eventuale esonero dall´acquisizione del consenso. Nel dichiarare illecito il trattamento di dati effettuato dalla società, il Garante ha ribadito che i dati  personali di un professionista - anche quando sono estratti da un registro, elenco o albo consultabile da chiunque -  non possono essere usati per finalità di telemarketing non strettamente attinenti l´attività lavorativa della persona contattata, senza che sia stato preventivamente acquisito il suo consenso. L´Autorità ha inoltre ricordato che tutte le società, prima di poter utilizzare a fini di marketing i numeri contenuti in elenchi telefonici generali, sono tenute a verificare che gli utenti non si siano iscritti nel Registro pubblico delle opposizioni e non abbiano quindi in tal modo espresso  la propria contrarietà a ricevere telefonate pubblicitarie.

Autorizzazione n. 1/2011 al trattamento dei dati sensibili nei rapporti di lavoro - 24 giugno 2011

Il Garante Autorizza

il trattamento dei dati sensibili di cui all´art. 4, comma 1, lett. d), del Codice, finalizzato alla gestione dei rapporti di lavoro, secondo le prescrizioni di seguito indicate.

per visualizzare il documento  clicca qui

Titolarità del trattamento di dati personali in capo ai soggetti che si avvalgono di agenti per attività promozionali

Offerte commerciali indesiderate: clienti più tutelati anche in caso di outsourcing 

Le società che si avvalgono di agenzie o altre imprese per la promozione o la commercializzazione della loro attività senza che queste operino come autonomi titolari, rispondono sempre in prima persona dei trattamenti dei dati e degli eventuali illeciti compiuti.

Inoltre, in questi casi esse devono provvedere a nominare formalmente le agenzie o le imprese di cui si avvalgono in outsourcing quali responsabili dei trattamenti stessi.

E´ quanto ha stabilito il Garante per la protezione dei dati personali nel provvedimento generale (pubblicato sulla G.U. n. 153 del 4 luglio) adottato per assicurare ai cittadini maggiori tutele contro i contatti commerciali indesiderati (telefonate, fax, posta etc…), fenomeno che ha registrato un forte incremento anche a seguito della modifica delle norme che regolano il telemarketing.

Dalle verifiche compiute dall´Autorità è infatti emerso che molte aziende, anche di grandi dimensioni, si avvalgono di società in outsourcing  per le attività promozionali, ma definiscono esse stesse gli obiettivi, le strategie commerciali, le istruzioni operative  e la modulistica necessaria.

Di conseguenza, in questi casi, i soggetti che operano in outsourcing non possono in alcun modo essere considerati autonomi titolari del trattamento, rimanendo tale titolarità in capo alle società committenti che rispondono di ogni illecito eventualmente commesso, nonché della mancata nomina quali responsabili delle aziende affidatarie dei servizi.

Nel suo provvedimento, il Garante ha dunque prescritto alle società che commissionano all´esterno l´attività di promozione ma ne mantengono di fatto il controllo operativo e quindi si configurano come titolari, anche l´obbligo di designare formalmente responsabili del trattamento i promoter di cui si avvalgono.

Le prescrizioni imposte dal Garante consentiranno di identificare con certezza gli autori di eventuali illeciti, garantendo maggiore tutela ai cittadini. Le società avranno 60 giorni di tempo per adempiere.

Roma, 5 luglio 2011

Contenzioso penale sul lavoro e privacy L´azienda non può accedere ai file del dipendente, ma può conservarli per far valere i suoi diritti

Il diritto alla riservatezza dei lavoratori deve essere bilanciato con la possibilità per le imprese di tutelarsi nell´ambito di eventuali procedimenti penali.

Lo ha chiarito il Garante decidendo sul ricorso di un dipendente che chiedeva al suo ex datore di lavoro di cancellare alcune cartelle personali presenti nel computer portatile restituito dopo il licenziamento, opponendosi ad ogni ulteriore uso dei suoi dati contenuti nel pc. Nelle cartelle personali erano infatti conservate e-mail, fotografie e altra documentazione di esclusiva valenza personale.

Nel corso dell´istruttoria, la società ha però affermato che proprio in quel materiale potevano essere presenti prove della concorrenza sleale posta in essere dal dipendente insieme ad altri colleghi. L´azienda intendeva quindi mettere l´hard disk del computer, senza alterazione alcuna, a disposizione dell´autorità giudiziaria al fine di far valere i propri diritti.

Il Garante (con un provvedimento di cui è stato relatore Giuseppe Chiaravalloti) non ha accolto la richiesta avanzata dall´interessato di far cancellare i dati, ma ha deciso di inibire alla società l´accesso alle cartelle private poiché il trattamento dei dati personali estranei all´attività lavorativa avrebbe violato i principi di pertinenza e non eccedenza previsti dal Codice della privacy. L´Autorità ha però riconosciuto il diritto dell´impresa di conservare i file del dipendente al fine di poterli eventualmente presentare come prova nell´ambito del contenzioso penale. L´acquisizione dei dati nel procedimento dovrà comunque avvenire su precisa disposizione del giudice.

Investigatori privati, banche, cloud computing sotto la lente del Garante

Investigatori privati, servizi informatici (in particolare quelli forniti mediante il cosiddetto "cloud computing"), istituti bancari e carte di credito, marketing (anche via sms ed e-mail), enti previdenziali. E´ su questi delicati settori e sulle modalità con le quali vengono trattati i dati personali di milioni di cittadini italiani che si concentrerà l´attività di accertamento del Garante per la privacy nei primi sei mesi dell´anno.

Il piano ispettivo appena varato prevede specifici controlli, sia nel settore pubblico che in quello privato, anche riguardo alle informazioni da fornire ai cittadini sull´uso dei loro dati personali, all´adozione delle misure di sicurezza, alla durata di conservazione dei dati, al consenso da richiedere nei casi previsti dalla legge, all´obbligo di notificazione al Garante. Oltre 250 gli accertamenti ispettivi programmati che verranno effettuati come di consueto anche in collaborazione con le Unità Speciali della Guardia di Finanza - Nucleo Privacy. A questi accertamenti si affiancheranno quelli che si renderanno necessari in ordine a segnalazioni e reclami presentati.
Intanto, un primo bilancio sull´attività ispettiva relativa al 2010 mostra il significativo lavoro di controllo svolto dall´Autorità: sono state circa 474 le ispezioni effettuate e 424 i procedimenti sanzionatori, relativi in larga parte alla omessa informativa, al trattamento illecito dei dati, alla mancata adozione di misure di sicurezza, all´ inosservanza dei provvedimenti del Garante.Le ispezioni hanno riguardato in particolare il settore sanitario, le catene alberghiere, l´attivazione di schede telefoniche multiple, la formazione on line.

Le segnalazioni all´autorità giudiziaria per violazioni penali sono state 55, e hanno riguardato tra l´altro la mancata adozione misure di sicurezza, la falsità nelle dichiarazioni e nelle notificazioni, il mancato adempimento ai provvedimenti del Garante.

Complessivamente le entrate derivanti dalle sanzioni sono state pari a circa 3 milioni e 800 mila euro: in particolare, 2 milioni relativi alle violazioni degli obblighi sull´informativa, 800 mila relativi al trattamento illecito di dati e 450 mila relativi alla mancata adozione delle misure di sicurezza da parte di aziende e pubbliche amministrazioni.